Раскрыты технические подробности уязвимости SynLapse. Уязвимость была обнаружена Цой Пахимой, исследователем безопасности в Orca Security. Уязвимость SynLapse, отслеживаемая как CVE-2022-29972, была обнаружена 4 января. Технологическому гиганту потребовалось около 3 месяцев, чтобы опубликовать исправления и рекомендации. Служба безопасности Orca ждала более месяца, чтобы раскрыть подробности, позволяющие пользователям исправлять свои локальные версии и пересматривать использование Azure Synapse.
Технические подробности
Уязвимость SynLapse имеет оценку CVSS 7,8, что позволяет злоумышленникам обходить разделение клиентов, включая возможность:
- Получите учетные данные для других учетных записей клиентов Azure Synapse.
- Управляйте их рабочими пространствами Azure Synapse.
- Выполните код на целевых компьютерах клиентов в службе аналитики Azure Synapse.
- Утечка учетных данных клиентов в источники данных, внешние по отношению к Azure.
Уязвимость связана со случаем внедрения команды в соединитель ODBC Magnitude Simba Amazon Redshift, обнаруженный в конвейерах Aure Synapse. При использовании она позволяет злоумышленнику выполнять коды в пользовательской среде выполнения интеграции или в общей среде выполнения интеграции. Это позволило злоумышленникам получить доступ к ресурсам Synapse, принадлежащим другим клиентам, с помощью внутреннего сервера API Azure, управляющего средами выполнения интеграции. Зная только имя рабочей области, злоумышленник может иметь возможность:
- Получите авторизацию в других учетных записях клиентов, действуя в качестве их рабочей области Synapse. Мы могли бы получить доступ к еще большему количеству ресурсов внутри учетной записи клиента в зависимости от конфигурации.
- Утечка учетных данных клиентов, хранящихся в их рабочей области Synapse.
- Общайтесь со средами выполнения интеграции других клиентов. Это можно использовать для запуска удаленного кода (RCE) во время выполнения интеграции любого клиента.
- Получите контроль над пакетным пулом Azure, управляющим всеми общими средами выполнения интеграции. Можно запускать код на каждом экземпляре.
Служба безопасности Orca сообщила,
« В начале июня Microsoft сообщила нам, что они выполнили все рекомендации, и среда выполнения интеграции Synapse теперь использует эфемерные узлы и ограниченные токены API с низкими привилегиями.
В свете этой информации мы теперь считаем, что Azure Synapse Analytics обеспечивает достаточную изоляцию клиентов. Таким образом, мы удалили оповещения о Synapse из платформы облачной безопасности Orca. Microsoft продолжает работать над дополнительной изоляцией и усилением защиты. »
